ຊ່ອງໂຫວ່ອັນຕະລາຍຮ້າຍແຮງຂອງ Linux Kernel CVE-2026-98432: ວິທີການກວດສອບ ແລະ ອັບເດດ VPS ຂອງທ່ານ

ໃນເດືອນຕຸລາ 2026, ໄດ້ພົບເຫັນຊ່ອງໂຫວ່ທີ່ສຳຄັນ CVE-2026-98432 ໃນ Linux kernel, ເຊິ່ງໄດ້ຮັບຄະແນນ 9.8 ຈາກ 10 ໃນລະດັບ CVSS. ມັນມີຜົນກະທົບຕໍ່ວິທີການຈັດການການເຊື່ອມຕໍ່ TCP IPv4 ທີ່ເຂົ້າມາ ແລະ ພາຍໃຕ້ເງື່ອນໄຂສະເພາະ, ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີສາມາດເຂົ້າເຖິງ root ເຊີບເວີຈາກໄລຍະໄກໄດ້ - ໂດຍບໍ່ຕ້ອງໃຊ້ລະຫັດຜ່ານ ແລະ ບໍ່ຕ້ອງມີການດຳເນີນການຈາກຜູ້ເບິ່ງແຍງລະບົບ.

ຂ້າງລຸ່ມນີ້ແມ່ນຜູ້ທີ່ໄດ້ຮັບຜົນກະທົບ, ວິທີການກວດສອບເຊີບເວີຂອງທ່ານ ແລະ ວິທີການປົກປ້ອງມັນ. ຄຳສັ່ງທັງໝົດແມ່ນເຮັດວຽກເປັນ root ຫຼື ດ້ວຍ sudo.

ໂດຍຫຍໍ້ແລ້ວ ຄວາມອ່ອນແອ

• ມັນ​ແມ່ນ​ຫຍັງ: ຂໍ້ຜິດພາດ use-after-free ໃນລະຫັດທີ່ຕັ້ງຄ່າການເຊື່ອມຕໍ່ IPv4 TCP, ເຊິ່ງເກີດຈາກເງື່ອນໄຂການແຂ່ງຂັນ. ຜູ້ໂຈມຕີສົ່ງແພັກເກັດທີ່ສ້າງຂຶ້ນເປັນພິເສດໄປຫາພອດ TCP ທີ່ເປີດຢູ່.
• ແກ່ນພືດທີ່ໄດ້ຮັບຜົນກະທົບ: ທຸກໆລຸ້ນນັບຕັ້ງແຕ່ Linux 4.4, ຊຶ່ງໝາຍເຖິງທຸກໆການແຈກຢາຍໃນປະຈຸບັນ.
• IPv6 ບໍ່ໄດ້ຮັບຜົນກະທົບຈາກຂໍ້ຜິດພາດຫຼັກ.
• ໄພຂົ່ມຂູ່ດັ່ງກ່າວມີຈິງສໍ່າໃດ: ນັກຄົ້ນຄວ້າດ້ານມະນຸດສາດໄດ້ສາທິດລະບົບຕ່ອງໂສ້ການເຈາະລະບົບທີ່ເຮັດວຽກໄດ້ ເຊິ່ງໄດ້ຮັບການເຂົ້າເຖິງຮາກໃນເຊີບເວີທີ່ເປີດໃຊ້ Multipath TCP (MPTCP) ໃນເວລາປະມານ 53 ນາທີ. ລະຫັດເຈາະລະບົບຍັງບໍ່ທັນໄດ້ຖືກເຜີຍແຜ່.
• ການໂຈມຕີໃນປ່າທຳມະຊາດ: ມາຮອດວັນທີ 1 ພະຈິກ 2026, ບໍ່ມີລາຍງານການຂຸດຄົ້ນໃດໆ. ນັ້ນແມ່ນເຫດຜົນທີ່ຄວນອັບເດດຢ່າງສະຫງົບ, ບໍ່ແມ່ນເຫດຜົນທີ່ຈະເລື່ອນມັນອອກໄປ.

ການບໍລິການ Go ມີຄວາມສ່ຽງແຍກຕ່າງຫາກ. ນັບຕັ້ງແຕ່ Go 1.24, ໂປຣແກຣມເຊີບເວີໃນ Linux ຈະຟັງພອດຜ່ານ MPTCP ຕາມຄ່າເລີ່ມຕົ້ນທຸກຄັ້ງທີ່ kernel ອະນຸຍາດ. ຜູ້ເບິ່ງແຍງລະບົບອາດຈະບໍ່ຮູ້ວ່າເຊີບເວີຂອງເຂົາເຈົ້າຍອມຮັບການເຊື່ອມຕໍ່ດັ່ງກ່າວ. ໃນບັນດາໂປຣແກຣມທີ່ໄດ້ຮັບຄວາມນິຍົມ, Xray ເຮັດວຽກແບບນີ້ - ຜູ້ພັດທະນາຂອງມັນໄດ້ປ່ອຍເວີຊັນສຸກເສີນແລ້ວ, v26.10.31, ເຊິ່ງປິດການໃຊ້ງານ MPTCP ຕາມຄ່າເລີ່ມຕົ້ນ.

VPS ແຕ່ລະເຄື່ອງໃຊ້ kernel ຂອງຕົນເອງ, ດັ່ງນັ້ນທ່ານຈຳເປັນຕ້ອງອັບເດດ kernel ພາຍໃນເຊີບເວີຂອງທ່ານດ້ວຍຕົວທ່ານເອງ. ພວກເຮົາອັບເດດໂຫນດ virtualization ດ້ວຍຕົວເອງ.

ມີວິທີແກ້ໄຂສຳລັບລະບົບຂອງເຈົ້າບໍ່

ສະຖານະມາຮອດວັນທີ 1 ພະຈິກ 2026. ການແກ້ໄຂມີມາເກືອບທຸກມື້ — ກວດສອບລິ້ງຢູ່ທ້າຍບົດຄວາມນີ້ສຳລັບສະຖານະປັດຈຸບັນ.

ຂັ້ນຕອນທີ 1. ກວດສອບວ່າທ່ານກຳລັງໃຊ້ kernel ໃດຢູ່

ຊອກຫາລຸ້ນຂອງ kernel ທີ່ກຳລັງແລ່ນຢູ່:

uname -r

ພຽງແຕ່ໝາຍເລກເວີຊັນເທົ່ານັ້ນກໍ່ບໍ່ໄດ້ບອກທ່ານຫຍັງເລີຍ: ການແຈກຢາຍຈະແກ້ໄຂ backport ເຂົ້າໄປໃນ kernel ຂອງຕົວມັນເອງໂດຍບໍ່ຕ້ອງປ່ຽນເວີຊັນພື້ນຖານ. ມັນໜ້າເຊື່ອຖືໄດ້ຫຼາຍກວ່າທີ່ຈະກວດສອບ changelog ຂອງແພັກເກດ kernel — ຖ້າມັນກ່າວເຖິງໝາຍເລກ CVE, ການແກ້ໄຂໄດ້ຖືກຕິດຕັ້ງແລ້ວ.

ເດບຽນ ແລະ ອູບັນຕູ:

apt changelog linux-image-$(uname -r) 2>/dev/null | grep CVE-2026-98432

ໃນ Debian, uname -v ຄຳສັ່ງຍັງສະແດງໃຫ້ເຫັນເວີຊັ່ນແພັກເກດເຕັມຂອງ kernel ທີ່ກຳລັງແລ່ນຢູ່: ປຽບທຽບມັນກັບຕາຕະລາງຂ້າງເທິງ.

AlmaLinux, Rocky Linux, RHEL, Oracle Linux:

rpm -q --changelog kernel-core-$(uname -r) | grep CVE-2026-98432

ຖ້າຄຳສັ່ງບໍ່ພິມຫຍັງອອກມາ, kernel ທີ່ກຳລັງແລ່ນຢູ່ນັ້ນມີຄວາມສ່ຽງ.

ຕໍ່ໄປ, ກວດສອບວ່າບໍລິການໃດທີ່ຍອມຮັບການເຊື່ອມຕໍ່ຜ່ານ MPTCP. ເຊີບເວີເຊັ່ນນີ້ແມ່ນເປົ້າໝາຍໃນການໂຈມຕີທີ່ສະແດງໃຫ້ເຫັນ:

ss -lnMp

ຜົນຜະລິດຫວ່າງເປົ່າໝາຍຄວາມວ່າບໍ່ມີຜູ້ຟັງ MPTCP.

ຂັ້ນຕອນທີ 2. ຕິດຕັ້ງ kernel ຄົງທີ່

ສຳຮອງຂໍ້ມູນ ຫຼື ສະແນັບຊອຟເວີຂອງທ່ານກ່ອນທີ່ຈະອັບເດດເຄີເນລ.

Debian 12 ແລະ 13

ເຄີເນລຄົງທີ່ຢູ່ໃນບ່ອນເກັບຂໍ້ມູນຄວາມປອດໄພ. ໃຫ້ແນ່ໃຈວ່າມັນຖືກເປີດໃຊ້ງານແລ້ວ:

grep -r security.debian.org /etc/apt/sources.list /etc/apt/sources.list.d/

ຖ້າບໍ່ພົບຫຍັງ, ໃຫ້ຕື່ມ security.debian.org ບ່ອນເກັບມ້ຽນສຳລັບການປ່ອຍຂອງທ່ານ. ຈາກນັ້ນອັບເດດລະບົບ:

apt update
apt full-upgrade
reboot

Ubuntu

ເຄີເນລທີ່ແກ້ໄຂແລ້ວຍັງບໍ່ທັນໄດ້ຖືກປ່ອຍອອກມາເທື່ອ. ກວດສອບການອັບເດດ:

apt update
apt list --upgradable | grep linux-image

ຖ້າເຊີບເວີຂອງທ່ານຕິດກັບ Ubuntu Pro, ທ່ານສາມາດກວດສອບແຜນການແກ້ໄຂໄດ້:

pro fix CVE-2026-98432 --dry-run

ເມື່ອການແກ້ໄຂຖືກປ່ອຍອອກມາແລ້ວ, ໃຫ້ຕິດຕັ້ງມັນແລະປິດເຄື່ອງໃໝ່:

apt update
apt full-upgrade
reboot

ຈົນກວ່າຈະຮອດເວລານັ້ນ, ໃຫ້ແນ່ໃຈວ່າໄດ້ນຳໃຊ້ການປົກປ້ອງຊົ່ວຄາວຈາກຂັ້ນຕອນທີ 3.

AlmaLinux 8, 9, 10

ປະຈຸບັນ, kernel ຄົງທີ່ມີໃຫ້ໃຊ້ສະເພາະໃນບ່ອນເກັບຂໍ້ມູນການທົດສອບເທົ່ານັ້ນ. ໃຫ້ຕິດຕັ້ງພວກມັນຖ້າທ່ານສະດວກໃນການເຮັດເຊັ່ນນັ້ນໃນເຊີບເວີການຜະລິດ, ແລະໃຫ້ແນ່ໃຈວ່າໄດ້ຖ່າຍຮູບກ່ອນການອັບເດດ:

dnf install -y almalinux-release-testing
dnf update 'kernel*' --enablerepo=almalinux-testing
dnf config-manager --disable almalinux-testing
reboot

ຫຼັງຈາກຣີບູດແລ້ວ, ໃຫ້ປຽບທຽບ uname -r ກັບລຸ້ນຕ່າງໆໃນຕາຕະລາງຂ້າງເທິງ. ຖ້າທ່ານບໍ່ຕ້ອງການຕິດຕັ້ງແພັກເກດການທົດສອບ, ໃຫ້ໃຊ້ການປ້ອງກັນຊົ່ວຄາວ ແລະ ລໍຖ້າໃຫ້ການແກ້ໄຂໄປຮອດບ່ອນເກັບຂໍ້ມູນຫຼັກ.

Rocky Linux ແລະລະບົບອື່ນໆທີ່ອີງໃສ່ RHEL

ຍັງບໍ່ມີການແກ້ໄຂເທື່ອ. ທ່ານສາມາດເບິ່ງມັນໄດ້ດ້ວຍ:

dnf --refresh updateinfo info --all --cves CVE-2026-98432

ເມື່ອການແກ້ໄຂຖືກປ່ອຍອອກມາແລ້ວ:

dnf update kernel
reboot

ຫຼັງຈາກອັບເດດແລ້ວ: ຈຳເປັນຕ້ອງຣີບູດ

ເຄີເນລໃໝ່ຈະມີຜົນຫຼັງຈາກຣີບູດແລ້ວເທົ່ານັ້ນ. ເພື່ອກວດສອບວ່າຈຳເປັນຕ້ອງໃຊ້ມັນຫຼືບໍ່:

# Debian and Ubuntu
[ -f /var/run/reboot-required ] && echo "Reboot required"

# AlmaLinux, Rocky, RHEL
needs-restarting -r

ຫຼັງຈາກຣີບູດເຄື່ອງແລ້ວ, ໃຫ້ເຮັດຊ້ຳການກວດສອບຈາກຂັ້ນຕອນທີ 1.

ຂັ້ນຕອນທີ 3. ການປົກປ້ອງຊົ່ວຄາວຈົນກວ່າ kernel ຄົງທີ່ຈະມີໃຫ້ໃຊ້

ມາດຕະການເຫຼົ່ານີ້ຊ່ວຍຫຼຸດຜ່ອນຄວາມສ່ຽງແຕ່ບໍ່ໄດ້ທົດແທນການອັບເດດເຄີເນລ.

ບລັອກແພັກເກັດກະຕຸ້ນ

ການໂຈມຕີໃຊ້ແພັກເກັດ TCP ທີ່ມີຕົວເລືອກ IP ໃນຫົວຂໍ້ IPv4. ພວກມັນບໍ່ເຄີຍປາກົດຢູ່ໃນການຈະລາຈອນປົກກະຕິ, ແລະ RFC 7126 ແນະນຳໃຫ້ຖິ້ມພວກມັນແລ້ວ. ກົດລະບຽບ nftables ຂ້າງລຸ່ມນີ້ຈະຖິ້ມແພັກເກັດ TCP IPv4 ທີ່ເຂົ້າມາທັງໝົດທີ່ມີຕົວເລືອກ ແລະ ບໍ່ມີຜົນກະທົບຕໍ່ IPv6, UDP ຫຼື ICMP. ມັນເຮັດວຽກຮ່ວມກັບ ufw ແລະ firewalld.

ຕິດຕັ້ງ nftables ຖ້າມັນຍັງບໍ່ທັນໄດ້ຕິດຕັ້ງ:

# Debian and Ubuntu
apt install -y nftables

# AlmaLinux, Rocky, RHEL
dnf install -y nftables

ສ້າງໄຟລ໌ກົດລະບຽບ:

cat > /etc/cve-2026-98432.nft <<'EOF'
table ip cve_2026_98432 {
    chain pre {
        type filter hook prerouting priority -300; policy accept;
        meta l4proto tcp ip hdrlength gt 5 counter drop
    }
}
EOF

ເພື່ອໃຫ້ກົດລະບຽບຖືກຟື້ນຟູຫຼັງຈາກການຣີບູດແຕ່ລະຄັ້ງ, ໃຫ້ສ້າງບໍລິການ systemd:

cat > /etc/systemd/system/cve-2026-98432.service <<'EOF'
[Unit]
Description=Mitigation for CVE-2026-98432
After=network-pre.target nftables.service firewalld.service ufw.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStartPre=-/usr/sbin/nft delete table ip cve_2026_98432
ExecStart=/usr/sbin/nft -f /etc/cve-2026-98432.nft
ExecStop=/usr/sbin/nft delete table ip cve_2026_98432

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now cve-2026-98432.service

ກວດສອບວ່າກົດລະບຽບຖືກໂຫຼດແລ້ວ:

nft list table ip cve_2026_98432

ຖ້າທ່ານເລີ່ມການບໍລິການ nftables ຄືນໃໝ່ດ້ວຍ global flush ruleset ປົກຄອງ, ແລ່ນ systemctl restart cve-2026-98432 ຫລັງຈາກນັ້ນ.

ສຳຄັນ: ຢ່າໃຊ້ກົດລະບຽບນີ້ໃນເຄືອຂ່າຍທີ່ໃຊ້ປ້າຍ CIPSO (SELinux ຫຼື Smack NetLabel) — ຕົວເລືອກ IP ແມ່ນຖືກໃຊ້ຕາມປົກກະຕິຢູ່ທີ່ນັ້ນ. ຖ້າເຊີບເວີຂອງທ່ານສົ່ງການຈະລາຈອນໃຫ້ກັບເຄື່ອງອື່ນ, ກົດລະບຽບຍັງຈະຖິ້ມແພັກເກັດ TCP ຂອງພວກເຂົາດ້ວຍຕົວເລືອກ IP.

ປິດໃຊ້ງານ MPTCP ຖ້າທ່ານບໍ່ຕ້ອງການມັນ

sysctl -w net.mptcp.enabled=0
echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf

ການຕັ້ງຄ່ານີ້ພຽງແຕ່ປ້ອງກັນ ໃຫມ່ ບໍ່ໄດ້ສ້າງຊັອກເກັດ MPTCP. ການບໍລິການທີ່ກຳລັງເຮັດວຽກຢູ່ແລ້ວຈະສືບຕໍ່ຟັງຜ່ານ MPTCP, ສະນັ້ນ ໃຫ້ເລີ່ມການບໍລິການທຸກອັນທີ່ລະບຸໄວ້ໂດຍ ss -lnMp ແລະໃຫ້ແນ່ໃຈວ່າຜົນຜະລິດຂອງມັນຫວ່າງເປົ່າແລ້ວ.

ໃນ AlmaLinux, MPTCP ຈະຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ ເວັ້ນເສຍແຕ່ວ່າທ່ານຈະເປີດໃຊ້ມັນດ້ວຍຕົວທ່ານເອງ.

ປິດການໃຊ້ງານໂປຣແກຣມ MPTCP ໃນ Go

ສຳລັບການບໍລິການທີ່ສ້າງຂຶ້ນດ້ວຍ Go 1.24 ຫຼື ໃໝ່ກວ່າ, ທ່ານສາມາດປິດໃຊ້ງານ MPTCP ດ້ວຍຕົວແປສະພາບແວດລ້ອມ. ຕົວຢ່າງ, ສຳລັບການບໍລິການທີ່ເອີ້ນວ່າ myservice:

systemctl edit myservice

ຕື່ມສິ່ງຕໍ່ໄປນີ້ໃສ່ໄຟລ໌ທີ່ເປີດ:

[Service]
Environment=GODEBUG=multipathtcp=0

ຈາກນັ້ນເລີ່ມການບໍລິການຄືນໃໝ່:

systemctl restart myservice

ອັບເດດ Xray

ຖ້າເຊີບເວີຂອງທ່ານໃຊ້ Xray, ໃຫ້ອັບເດດມັນເປັນ v26.10.31 ຫຼື ໃໝ່ກວ່າ. ເວີຊັ່ນກ່ອນໜ້ານີ້, v26.10.29, ໄດ້ຖືກຖອນອອກໂດຍນັກພັດທະນາຂອງມັນ. ການອັບເດດນີ້ປິດການໃຊ້ງານ MPTCP ແຕ່ບໍ່ໄດ້ແກ້ໄຂ kernel, ສະນັ້ນຍັງຕ້ອງມີການອັບເດດ kernel.

ກວດສອບການຕັ້ງຄ່າອີກອັນໜຶ່ງ

ເສັ້ນທາງການຂຸດຄົ້ນອັນທີສອງທີ່ແຄບກວ່າຮຽກຮ້ອງໃຫ້ມີການເປີດໃຊ້ງານການໂອນຍ້າຍການຮ້ອງຂໍ. ມັນຖືກປິດໄວ້ຕາມຄ່າເລີ່ມຕົ້ນ - ໃຫ້ແນ່ໃຈວ່າມັນ:

sysctl net.ipv4.tcp_migrate_req

ຄຳສັ່ງຄວນພິມ 0.

ຈຳກັດການເຂົ້າເຖິງການບໍລິການຂອງທ່ານ

ປິດທຸກໆພອດໄຟວໍທີ່ບໍ່ຈຳເປັນຕ້ອງເຂົ້າເຖິງໄດ້ຈາກອິນເຕີເນັດ. ຖ້າເປັນໄປໄດ້, ໃຫ້ເປີດການບໍລິການດ້ານການບໍລິຫານ - SSH, ແຜງຄວບຄຸມ, ຖານຂໍ້ມູນ - ສະເພາະທີ່ຢູ່ IP ທີ່ເຊື່ອຖືໄດ້ເທົ່ານັ້ນ.

ຂັ້ນຕອນທີ 4. ຫຼັງຈາກຕິດຕັ້ງ kernel ຄົງທີ່ແລ້ວ

1. ຣີບູດເຊີບເວີ ແລະ ໃຊ້ຄຳສັ່ງຈາກຂັ້ນຕອນທີ 1 ເພື່ອຢືນຢັນວ່າ kernel ຄົງທີ່ກຳລັງເຮັດວຽກຢູ່.
2. ທ່ານສາມາດລຶບກົດລະບຽບຊົ່ວຄາວໄດ້:
   

   systemctl disable --now cve-2026-98432.service
   rm /etc/systemd/system/cve-2026-98432.service /etc/cve-2026-98432.nft
   systemctl daemon-reload

   
   
3. ຖ້າທ່ານຕ້ອງການ MPTCP, ໃຫ້ກູ້ຄືນການຕັ້ງຄ່າ: ລຶບ /etc/sysctl.d/99-disable-mptcp.conf ແລະແລ່ນ sysctl -w net.mptcp.enabled=1.

ຖ້າມີບາງຢ່າງຜິດພາດ

ຖ້າເຊີບເວີຂອງທ່ານບໍ່ບູດຫຼັງຈາກການອັບເດດເຄີເນລ, ໃຫ້ເຊື່ອມຕໍ່ຜ່ານຄອນໂຊນ VNC ໃນແຜງຄວບຄຸມ ແລະ ເລືອກເຄີເນລກ່ອນໜ້ານີ້ໃນເມນູບູດ. ຖ້າທ່ານບໍ່ແນ່ໃຈວ່າທ່ານສາມາດເຮັດສິ່ງນີ້ໄດ້ດ້ວຍຕົວທ່ານເອງ, ຫຼືຕ້ອງການຄວາມຊ່ວຍເຫຼືອກ່ຽວກັບການອັບເດດ, ໃຫ້ຕິດຕໍ່ທີມງານຊ່ວຍເຫຼືອຂອງພວກເຮົາ.